Orange Tsai opublikował 28 października 2026 roku techniczny opis łańcucha błędów logicznych w Microsoft Edge. Badacz z DEVCORE pokazał go na Pwn2Own Berlin 14 maja, a Microsoft wymienił powiązane poprawki w wydaniu Edge Stable z 15 maja. Tsai opisał drogę od błędu nawigacji, przez uniwersalne skryptowanie między witrynami (UXSS), aż po wykonanie kodu poza piaskownicą przeglądarki. Łańcuch nie wykorzystywał korupcji pamięci.
Co Orange Tsai ujawnił o Edge
Ogłoszenie Zero Day Initiative osadzone we wpisie Tsai podaje, że demonstracja na Pwn2Own Berlin przyniosła mu 175 000 dolarów oraz 17,5 punktu Master of Pwn. To wydarzenie z maja, odrębne od technicznej publikacji z 28 października.
Tsai opisał łańcuch wykorzystujący błędy logiki przeglądarki i funkcje Windows, zamiast uszkadzania pamięci. Według badacza prace nad nim trwały dwa miesiące, a sam exploit liczył mniej niż 100 linii kodu.
Jak nawigacja powiązała się z niewłaściwą kartą
Początek łańcucha stanowił błąd związany z mechanizmem nawigacji używanym przy logowaniu przez firmowe uwierzytelnianie warunkowe. Według Tsai proces przeglądarki rozpoczynał nawigację bez przypisania jej źródłowej zawartości karty (source_contents). Chromium używał więc aktywnej karty jako źródła. Jeśli użytkownik przełączył karty, zanim nawigacja się rozpoczęła, skrypt mógł zadziałać w kontekście witryny otwartej na tej drugiej karcie.
UXSS, czyli uniwersalne skryptowanie między witrynami, oznacza tu możliwość uruchomienia skryptu w kontekście pochodzenia innej witryny. W dalszej części łańcucha Tsai opisał między innymi obchodzenie kontroli zaufanego źródła przez nawigację między oknami, automatyczne logowanie OneAuth oraz błędną konfigurację CORS w assets.msn.com, która w opisanym scenariuszu ujawniała adres e-mail zalogowanego użytkownika.
Kolejne elementy prowadziły do wyjścia poza piaskownicę Edge, czyli odizolowane środowisko przeglądarki. Tsai opisał wykorzystanie schematu read:// w Czytniku immersyjnym, funkcji diagnostycznej zapisującej plik oraz konfiguracji obsługi protokołów Windows. W demonstracji łańcuch kończył się uruchomieniem Kalkulatora.
Dlaczego drugie nagranie pokazuje inny kierunek
W osobnym nagraniu skrypt uruchamia Kalkulator, a następnie Microsoft Edge, który otwiera stronę konferencji HITCON 2026. Tsai opisał ten materiał jako odrębny ciąg w odwrotnym kierunku: jego celem było uruchomienie Edge z procesu calc.exe, a nie przejście od Edge do wykonania kodu poza przeglądarką.
Którą wersję Edge wymienił Microsoft
Wpis Microsoftu z 15 maja 2026 roku wymienia wydanie Edge Stable 148.0.3967.70 oraz powiązane z nim błędy CVE-2026-45492, CVE-2026-45494 i CVE-2026-45495. W nagraniu demonstracyjnym widoczna jest wersja 148.0.3967.54.
